Thema: Neue Sicherheitslücke in Joomla?

Zitat von Whitedragon

Wie gesagt, es waren drei unterschiedliche Seiten. Es gibt keine Drittkomponente, Modul etc. was ich auf allen drei Seiten installiert habe. Bei allen drei war aber der flashupload des TinyMCE aktiviert. Ich weiß nicht ob darüber so etwas möglich ist.

Ich will nicht ausschließen, daß es eine Lücke TinyMCE war. Jedoch sollte es dann wesentlich mehr Meldungen über Einbrüche geben.
Das ist zwar auch keine technisch fundierte Begründung, aber eine halbwegs logische.

Und wie auch schon gesagt, ich denke der Ursprung des Angriffs hat im Ordner images begonnen. Aber das ist nur eine Vermutung

Dort liegen normalerweise nur Grafik- und einfach html-Dateien. Also keine Scripte oder so was.

Das die Datei dort aufgetaucht ist, sagt nichts darüber aus, wie sie dort hin gekommen ist. Und das ist interessant.

Den Schadcode brauchst Du nicht öffentlich zu posten. Der ist für die Suche nach der Lücke unerheblich. Wenn jemand persönlich Interesse daran hat, kann er sich per PN bei Dir melden.

Den TinyMCE würde ich nicht als den Angriffspunkt vermuten.

Es reicht aus, wenn über eine Deiner Seiten, z.B. über eine nicht aktuelle Komponente, ein erfolgreicher Angriff erfolgt ist.

Du schreibst selbst, dass Du hier und da 777 als Verzeichnis-Rechte vergeben musstest. Damit kann es einem Angreifer ermöglicht werden, Schadcode von einem ins andere Web zu überspielen.

Du solltest also alle eingesetzten Komponente prüfen, jeweils die aktuelle Version holen und mal nachsehen, ob in einer Deiner älteren Versionen vielleicht eine Sicherheitslücke war.

Davon abgesehen hast Du das Grundproblem, dass Dein Joomla auf diesem Server niemals sicher zu betreiben ist, wenn 777-Rechte dafür nötig sind. Dieses Problem musst Du vordringlich lösen, indem Du mit Deinem Hoster sprichst oder Dir einen neuen suchst (es gibt genug joomlataugliche Hoster). Alles andere hat niedrigere Priorität.

Erst wenn das passiert ist, ist der zweite Schritt, Deine Seiten auf dem Server komplett plattzumachen, wirklich ALLES wegzulöschen und aus Deinen Backups neu aufzuspielen. Diesmal auf korrekte Rechtesetzung achten (Dateien normalerweise 644, Verzeichnisse normalerweise 755). Alle verwendeten Extensions in aktuellen Versionen einspielen.

Außerdem alle Passwörter neu einrichten: jeweils für FTP, MySQL, Joomla-Administration.

Viele Grüße,
Zorro